近年増加しているファームウェア攻撃も防げるように、PC電源投入後から信頼を確保する「Secured-core PC」についてMicrosoftがセキュリティブログで解説している。同社はCPUメーカーやPCメーカーと協力して、OSとハードウェアを融合させたソリューションを設計。「Surface Pro X for Business」のほか、第7世代の「Lenovo ThinkPad X1 Carbon」「Panasonic TOUGHBOOK 55」「Dell Latitude 7400 2-in-1」「Dynabook TECRA X50-F/X40-F」など、Secured-coreに従ったPCが登場している。
OSにセキュリティアップデートが継続的に提供される仕組みが整えられているのに対して、ファームウェアは特権的なレベルで実行されるのにも関わらずWindows Updateのようなセキュリティアップデートシステムが統合されていないため、近年ファームウェアを狙う攻撃が増加している。National Vulnerability Databaseによると、2016年に発見されたファームウェアの脆弱性は7件だったが、翌年に401件に増加し、それから毎年400件を上回ったままの状態が続いている。
-
OSのセキュリティが向上する一方で、ファームウェアは脆弱性が残されている
ファームウェアに忍ばせる攻撃はOSがロードされる前に実行されるため姿を隠しやすく、OS側からは見つけにくい。また、感染を取り除きにくく、OSのクリーンインストール、ドライブの再フォーマットや交換を行っても消えずに残り続ける可能性がある。
Windowsは、電源投入後の保護としてWindows 8からUEFI (Unified Extensible Firmware Interface)によるセキュアブートに移行した。Windowsブートマネージャーなど適切に署名されたブートローダーのみUEFIが実行を許可する。しかしながら、UEFIよりも早い段階でファームウェアがブートローダーを認証しており、セキュアブートはファームウェアの脆弱性まで保護できない。
Secured-core PCは、OSの下に新たなセキュリティレイヤを追加してID、仮想化、OS、ハードウェア、ファームウェアの保護を実現する。
Secured-core PCでは、AMD、Intel、Qualcommのプロセッサに組み込まれたDRTM(Dynamic Root of Trust Measurement)、Trusted Platform Module (TPM) 2.0などを用いた「System Guard」でPCの起動を保護する。DRTMは、PC起動後の任意のタイミングで実行でき、ハイパーバイザー上のゲストOSの検証も可能になる。ファームウェアを「Root of Trust (信頼の基点)」の開始点とするのではなく、信頼性の高いCPUに担わせることで、PC起動の弱点を狙った攻撃を防ぐ。さらにOS動作中にも、BIOSによって使用されるシステムマネージメントモード (SMM)が悪用される可能性を監視し、挙動を制限する追加の保護機能を実装している。
